Bài viết này nhằm:

• Hướng dẫn cách theo dõi và lọc log Sophos Firewall trên Sophos Central.
• Hướng dẫn xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Sophos Central giúp quản trị viên theo dõi và quản lý toàn bộ Sophos Firewall ttrên một giao diện web duy nhất, không cần đăng nhập từng thiết bị. Để giám sát, theo dõi, xuất Report tổng quan các thiệt bị Firewall, làm như sau:

Trên Sophos Central, chọn My Products -> Firewall Management -> Report Generator

Report Generator là công cụ để quản trị viên giám sát, theo dõi và tạo báo cáo (report) tùy chỉnh cho Sophos Firewall.

• Firewalls: chọn Firewall cần xuất report.
• Report Template: Chọn Template có sẵn phù hợp với nhu cầu xem, chi tiết:
  • Antivirus: Các mã độc hoặc đối tượng nghi ngờ đã bị chặn.
  • Bandwidth usage: Mức sử dụng băng thông theo từng ứng dụng.
  • Cloud app risks and usage: Các ứng dụng Cloud được sử dụng và rủi ro liên quan.
  • Firewall: Số lượng kết nối giữa các địa chỉ IP cụ thể.
  • IPS: Các cuộc tấn công bị phát hiện/chặn bởi hệ thống IPS.
  • Log viewer and search: Log chi tiết của firewall (chỉ có biểu đồ dạng bảng).
  • SD-WAN: Tóm tắt mức độ đáp ứng SLA theo từng profile SD-WAN, kèm biểu đồ xu hướng.
  • SD-WAN SLA trend: Xu hướng SLA theo gateway (jitter, latency, packet loss).
  • SD-WAN Bandwidth usage: Thống kê băng thông theo gateway và theo thời gian.
  • Security posture assessment (SPA): Đánh giá tổng thể mức độ an toàn của hệ thống. (Có thể chọn tối đa 10 thành phần như: Bandwidth, Web usage, Threat geo activity…) (Recommend sử dụng)
  • Synchronized app: Thống kê ứng dụng được nhận diện bởi Synchronized App Control.
  • Threat geo activity: Các mối đe dọa bị chặn theo quốc gia.
  • Threats and events blocked: Toàn bộ các mối đe dọa/sự kiện đã bị chặn.
  • VPN usage: Mức độ sử dụng các kết nối VPN.
  • Web usage: Thống kê truy cập website.
  • Web user risk: Hoạt động web của người dùng truy cập website rủi ro cao.
  • X-Ops: Hoạt động tấn công nâng cao (Advanced Threat activities) do firewall phát hiện/chặn. Bao gồm traffic trong MDR.
  • Zero-day protection: File/email nghi ngờ được gửi đến module phân tích Sandstorm

• Time Frame: Chọn mốc thời gian phù hợp với nhu cầu xem
• Query: Tùy chọn query phù hợp với nhu cầu lọc.

Sau đó, nhấn Schedule để lên lịch gửi report:

• Template Name: Đặt tên của mẫu báo cáo.
• Export scheduling: Bật/Tắt việc xuất report tự động theo lịch.
• Time frame: Chọn khoảng thời gian dữ liệu trong mỗi report
• Export frequency: Chọn chu kỳ xuất báo cáo
• Export format: Chọn định xạng file xuất (PDF, CSV, HTML)
• Export notification / delivery: Chọn cách gửi email
• Send this export to other Sophos admins?: Chọn chia sẻ report cho các admin khác

Sau khi hoàn tất, Nhấn Save.

Thông báo hiển thị đã tạo Template và Schedule thành công

Đúng Schedule, Sophos sẽ tự động xuất file Export dựa trên cấu hình đã setup

Bài viết này nhằm:

• Hướng dẫn cách xem và lọc log trên Sophos Firewall.
• Hướng dẫn đọc và xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Xem thông tin về lưu lượng mạng đi qua firewall và các mối đe dọa bảo mật

Các loại Dashboard chính:

• Traffic dashboard: Phân loại theo lưu lượng mạng
• Security dashboard:  Hoạt động bị chặn và các mối đe dọa: Malware, IPS, Spam, nguồn tấn công.
• Executive report: Thông tin tổng hợp cho người quản lý: Traffic & Threat nổi bật.
• User threat quotient (UTQ): Xếp hạng người dùng dựa trên điểm rủi ro bảo mật.

Xem thông tin về việc sử dụng ứng dụng và Internet trên hệ thống mạng của bạn.

Application risk meter là cách thức mà Firewall sẽ tính điểm dựa trên mức độ rủi ro và số lần truy cập (hits) của từng ứng dụng. Chỉ số rủi ro ứng dụng được xác định dựa trên điểm trung bình của toàn bộ lưu lượng ứng dụng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• User app risks & usage: Thống kê việc sử dụng các ứng dụng và mức độ rủi ro tương ứng.
• Cloud applications usage: Thống kê việc sử dụng các ứng dụng đám mây
• Blocked user apps: Các lần truy cập ứng dụng bị chặn.
• Synchronized applications: Các ứng dụng được phân loại và đồng bộ từ endpoint lên firewall.
• Web risks & usage: Hoạt động truy cập web trong mạng và các rủi ro liên quan.
• Blocked web attempts: Các lần truy cập web bị chặn
• Search engine: Thống kê hành vi tìm kiếm của người dùn
• Web content: Các kết quả khớp của bộ lọc nội dung và các thông tin liên quan.
• Web server usage: Lưu lượng Application, Web, Internet và FTP.
• Web server protection: Trạng thái bảo mật của các Web Server, bao gồm các cuộc tấn công và nguồn tấn công.
• User data transfer: User traffic
• FTP usage: FTP activity
• FTP protection: Malicious FTP activity

Xem thông tin về việc sử dụng mạng và các mối đe dọa liên quan.

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Intrusion attacks: Các lượt tấn công
• Active threat response: Threat events và các máy bị xâm nhập được phát hiện bởi MDR (Managed Detection and Response) và Sophos X-Ops
• Wireless: Access point và SSID được sử dụng
• Security Heartbeat: Tình trạng sức khỏe của máy trạm trong mạng dựa trên kết nối giữa máy trạm và Firewall.
• Zero-day protection: Bảo vệ nâng cao trước các cuộc tấn công mới.

Xem thông tin về remote user (người dùng kết nối từ xa) vào hệ thống mạng của bạn thông qua IPSEC VPN, SSL VPN và Clientless access

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• VPN: Lưu lượng phát sinh từ remote users qua IPsec, L2TP hoặc PPTP
• SSL VPN: Lưu lượng phát sinh từ remote users thông qua SSL VPN Client.
• Clientless Access: Lưu lượng phát sinh từ remote users thông qua trình duyệt web.

Xem thông tin về email traffic (lưu lượng email) trong hệ thống mạng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Email Usage: Email traffic trong hệ thống mạng của mình
• Email Protection: Email Traffic bị Virus và Spam trong hệ thống mạng của mình

Xem thông tin về việc tuân thủ các quy định/quy chuẩn:

Các nhóm Quy chuẩn có thể theo dõi trong phần này, bao gồm:

• HIPAA: Security Report tuân thủ chuẩn HIPAA
• GLBA: Security Report tuân thủ chuẩn GLBA
• SOX: Security Report tuân thủ chuẩn SOX
• FISMA: Security Report tuân thủ chuẩn FISMA
• PCI: Security Report tuân thủ chuẩn PCI
• NERC CIP v3: Security Report tuân thủ chuẩn NERC CIP v3
• CIPA: Security Report tuân thủ chuẩn CIPA
• Events: Network Event và các mức độ nghiêm trọng tương ứng

Tạo báo cáo bao gồm các tiêu chí được chỉ định.

Các loại Report có thể tạo trong phần này, bao gồm:

• Web Report: Tìm kiếm hoạt động duyệt web hoặc virus. Có thể lọc theo user, domain và các tiêu chí khác
• Mail Report: Tìm kiếm lưu lượng Email, Spam và Virus. Có thể lọc theo protocol, user và các tiêu chí khác.
• FTP Report: Tìm kiếm hoạt động FTP và Virus. Có thể lọc theo kiểu truyền, user, file hoặc source IP
• User Report: Thống kê mức độ sử dụng: ứng dụng rủi ro cao, website không hiệu quả, virus phát hiện. Có thể lọc theo username, source host.
• Web Server Report: Tìm kiếm hoạt động Web Server (time, user, URI) và cả các sự kiện bảo vệ Web Server.

Log Viewer hiển thị event logs và được tự động cập nhật khi có event mới (Real-time).

Để truy cập, ở góc phải phía trên Sophos Firewall, nhấn Log viewer

Cửa sổ Log Viewer mới sẽ xuất hiện, và quản trị viên có thể xem log Realtime ở đây

Quản trị viên có thể tùy chọn các loại log cụ thể để giám sát như sau:

• Admin
• Active Threat Response
• Application filter
• Authentication
• Email
• Firewall
• IPS
• Malware
• Security Heartbeat
• SSL/TLS inspection
• SD-WAN
• System
• VPN
• Web content policy
• Web filter
• Web server protection
• Zero-day protection

Trong quá trình quản trị hệ thống, người quản trị cần các file báo cáo tổng hợp phản ánh tình trạng sử dụng hệ thống và các mối đe dọa tiêu biểu. Vì vậy, trong bài hướng dẫn này sẽ lựa chọn Executive report để thực hiện việc xuất báo cáo.

 Để xuất Report báo cáo theo lịch trình, chọn Show Reports Settings

Chọn Report Scheduling, nhấn Add

Nhập thông tin sau:

• Name: Đặt tên lịch report.
• Description: Mô tả (không bắt buộc).
• To email address: Địa chỉ email nhận report (có thể nhập nhiều email)
• Report type: Chọn loại report (VD: Report group)
• Report group: Chọn nhóm report phù hợp (VD: Executive Report)
• Email frequency: Chọn Daily hoặc Weekly và mốc thời gian gửi report qua email.

Sau khi nhập hoàn tất, nhấn Save.

Đúng lịch trình cấu hình, Sophos sẽ gửi email bảng báo cáo report về email.

Nếu chưa có tài khoản Sophos Central, tham khảo: https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Đăng nhập Sophos Central bằng tài khoản Super Admin.

– Vào Account → Licensing Firewall licenses

– Chọn Firewall licenses 

– Chọn Claim firewall 

– Nhập Serial Number thiết bị 

Sau khi claim thành công, thiết bị sẽ hiển thị trong danh sách quản lý.

– Chọn thiết bị → Apply subscriptions

– Nhập License Key

– Preview subscription → Apply license

Đối với các lần gia hạn (renew) license trong tương lai, cần lưu ý

– License Number: chỉ dùng để tracking và support, không dùng để activate.

– License Key: bắt buộc để kích hoạt hoặc renew license.

• Trong hầu hết các trường hợp, nếu Sophos Firewall đã được liên kết đúng Sophos Central account, license sau khi renew sẽ tự động đồng bộ xuống thiết bị mà không cần thao tác thủ công.
• Tuy nhiên, nếu license không tự đồng bộ và vẫn hiển thị trạng thái Expired, bạn có thể thực hiện các bước sau:
  • Kiểm tra license trong Sophos Central hoặc Sophos Partner Portal để xác định License Key tương ứng
  • Thực hiện apply License Key thủ công cho thiết bị Firewall (theo hướng dẫn ở Mục II.3)

• Nếu email gia hạn không chứa License Key, khuyến nghị:
  • Kiểm tra lại thông tin license trong Sophos Portal
  • Hoặc liên hệ Sophos Support / Partner để xác nhận chính xác License Key trước khi apply

• Làm mới giao diện người dùng (UI)
• Tính năng tham chiếu đối tượng (Object Reference)
  Interfaces, Gateways, Zones & SD-WAN Profiles
• Hỗ trợ API cho số lượng tham chiếu

Làm mới giao diện người dùng (UI)

Ở v21, bảng điều khiển quản trị web hiện nay theo phong cách sophos mới nhất

Thanh đều hướng bên cạnh hiện có nền màu xám đậm với màu xanh Sophos đặc trưng của chúng tôi, mang đến cho nó một diện mạo mới mẻ.

Trung tâm điều khiển hiện đã được mở rộng lên 1920 pixel, tận dụng hoàn toàn không gian màn hình để hiển thị nhiều thông tin hơn.

Chúng tôi đã thiết kế lại trung tâm điều khiển với các chế độ xem thẻ, giúp dễ dàng phân tách dữ liệu tường lửa của bạn một cách trực quan.

Widget phản hồi mối đe dọa chủ động mới tổng hợp tất cả thông tin mối đe dọa cần thiết từ MDR, Sophos X-Ops và các nguồn cấp dữ liệu mối đe dọa bên thứ 3 vào một phần duy nhất, dễ dàng xem.

Thông báo cảnh báo cũng đã được mở rộng để sử dụng toàn bộ không gian có sẵn, giúp việc đánh giá cảnh báo ngay lập tức trở nên dễ dàng hơn.

Nhấp vào một thông báo sẽ mở ra flip widget. Tại đây, flip widget cũng đã được mở rộng để tận dụng không gian tăng lên.

Thực tế, tất cả các widget đều đã được tối ưu hóa cho khu vực mở rộng này.

Tính năng tham chiếu đối tượng (Object Reference)

Trong trang ‘giao diện’, cột sử dụng mới hiển thị số lượng đối tượng và chi tiết về cách chúng được tham chiếu. 

Ngoài ra, tính năng tham chiếu đối tượng cũng cho phép dễ dàng xóa hoặc chỉnh sửa các tham chiếu.

Nhấp vào số lượng sử dụng sẽ cung cấp một cửa sổ pop-up với danh sách đầy đủ các cấu hình. Từ đây, bạn có thể xem danh sách hoàn chỉnh các tham chiếu của nó.

Chọn một tham chiếu để xem “cài đặt chung”, nơi bạn có thể thực hiện các thay đổi, chẳng hạn như chỉnh sửa giao diện.

Các tính năng này cũng đã được triển khai trong interface, gateways và SD-WAN profiles.

Quản trị mạng giờ đây có thể dễ dàng thấy nơi một đối tượng được sử dụng trong các cấu hình trên tường lửa

Hỗ trợ API cho số lượng tham chiếu

Mới đây, chúng tôi đã giới thiệu một API cho phép bạn “GET” số lượng tham chiếu đối tượng cho tất cả các tính năng tham chiếu đối tượng được hỗ trợ. Ví dụ, nếu một đối tượng có số lượng sử dụng bằng không, bạn có thể muốn dọn dẹp các máy chủ không sử dụng đó. Điều này có thể được thực hiện dễ dàng bằng cách tự động hóa API. Để thực hiện yêu cầu API này, chỉ cần sử dụng một cuộc gọi GET với ID thẻ. Hãy cùng đi qua một ví dụ về cách thực hiện điều này.

Đầu tiên, mở Postman và cấu hình một yêu cầu đơn giản để lấy số lượng sử dụng giao diện.

Trong phần thân yêu cầu cho cuộc gọi GET này, hãy bao gồm thông tin đăng nhập theo sau là yêu cầu cho ‘IPHostStatistics’.

Để xem cách sử dụng IP Host, hãy gửi yêu cầu.

Nó sẽ hiển thị tất cả dữ liệu sử dụng cho IP Host đó.

Để xem cách sử dụng cho trang ‘Giao diện’, chỉ cần chỉnh sửa thẻ và sử dụng ‘interfaceStatics’ làm thẻ XML. Sau đó, gửi yêu cầu. Điều này sẽ hiển thị tất cả cách sử dụng giao diện.

Ngoài ra, bạn có thể áp dụng các bộ lọc chuẩn được hỗ trợ cho XML API.

Nếu bạn muốn lọc kết quả để khớp hoặc lấy thống kê giao diện cho một cổng cụ thể, hoặc cho các cổng chứa các từ khóa nhất định, hãy sử dụng thuộc tính bộ lọc.

Bạn có thể tinh chỉnh thêm tìm kiếm của mình bằng cách thêm các tiêu chí như “like”, “equal to” và “not equal to”.

Ví dụ, nếu bạn muốn tìm tất cả các cổng khớp với ‘port1’, bạn có thể sử dụng bộ lọc này, và nó sẽ tìm kiếm bất kỳ giao diện nào có ‘port1’ trong tên của nó.

Nhấp vào “Send” để gửi yêu cầu.

Objects & XML Tags

Và đó là API XML mà chúng tôi hỗ trợ không chỉ cho giao diện và IP Hosts, mà còn cho tất cả các vị trí mà Sophos hỗ trợ tính năng tham chiếu đối tượng trong SFOS v21.

DoS (Denial of Service) là một loại tấn công mạng nhằm làm gián đoạn hoặc ngăn chặn dịch vụ của một hệ thống, máy chủ hoặc mạng. Tấn công DoS thường được thực hiện bằng cách gửi một lượng lớn yêu cầu giả mạo đến mục tiêu, khiến cho nó không thể xử lý các yêu cầu hợp lệ từ người dùng khác.

Có hai loại tấn công DoS chính:

1. Tấn công DoS đơn lẻ: Thực hiện bởi một nguồn duy nhất, thường là một máy tính hoặc một thiết bị.
2. Tấn công DDoS (Distributed Denial of Service): Sử dụng nhiều nguồn khác nhau (thường từ một mạng botnet) để tấn công cùng một lúc, gây khó khăn hơn trong việc chống đỡ.

Overview

Bài viết này mô tả cách bạn có thể bảo vệ mạng của mình trước các cuộc tấn công DoS và DDoS bằng Tường lửa Sophos XGS. Nó được chia thành ba phần:

• Cách Tấn công DoS/DDoS vào firewall
• Cách bảo vệ hệ thống của bạn khỏi cuộc tấn công DoS.
• Cách bảo vệ hệ thống của bạn khỏi một cuộc tấn công DDoS.

Sơ đồ mạng

Trong mô hình phía trên, ta có 2 máy tính được cấp dhcp từ lớp mạng có IP là 172.17.17.0/24. Máy chủ server được cấp dhcp từ lớp mạng có IP là 172.17.18.0/24. 

Hacker xâm nhập vào được máy tính có IP là 172.17.17.13/24 nội bộ và gửi hàng triệu gói tin SYN đến máy chủ nội bộ với các cổng ngẫu nhiên gây quá tải khiến trang web bị sập.

Máy tính của user có IP là 172.17.17.11/24 không thể truy cập vào server vì đã bị sập.

Các bước cấu hình

1. Cài đặt môi trường tấn công DoS/DDoS

+ Cài đặt phần mềm hack trên môi trường Kali Linux trong Vmware Workstation

2.  Cấu hình chống DoS & spoof protection trên Sophos FirewalFirewall

3. Kiểm tra Log

Hướng dẫn cấu hình

1. Cài đặt môi trường tấn công DoS/DDoS 

+ Cài đặt phần mềm hack trên môi trường Kali Linux trong Vmware Workstation Trên máy mình đặt làm máy tấn công DoS 

Khởi chạy Kali Linux bằng file iso

Tải pentmenu từ github về kali > Vào terminal > gõ lệnh git clone https://github.com/GinjaChris/pentmenu.git  > cd pentmenu > sudo chmod +x pentmenu > nhập password kali

Ping youtube.com để lấy ip, ở đây mình có ip là 74.125.200.136

Gõ lệnh ./pentmenu để vào thư mục pentmenu

Sau khi vào thư mục pentmenu > Chọn hình thức tấn công là DOS > pentmenu: 2 > enter target IP/hostname: 74.125.200.136 > enter source IP , or [r]andom or [i]nterface IP (default): Nhập enter > các gói ICMP đã được gửi đi

2.  Cấu hình chống DoS & spoof protection trên Sophos FirewalFirewall

Tiếp theo, vào sophos firewall và bật tính năng chặn tấn công ICMP > Intrusion prevention > DoS & spoof protection > ở mục ICMP/ICMPv6 flood > Source: Tick chọn Apply Flag > Destination: Tick chọn Apply Flag.

Chúng ta có thể thấy sau khi tấn công ICMP thì trên sophos firewall sẽ chặn các gói tin ICMP bằng cách dropped gói.

Ngoài ra có thể kiểm tra tốc độ mạng  trên máy tính của user chưa bị hack và ở trong mạng nội bộ bằng cách dùng speedtest trên google

Tương tự như vậy, chúng ta tấn công bằng hình thức SYN flood > Pentmenu: 2 > Enter target: 142.250.197.14 > Enter target port (defaults to 80): 80 > Enter Source IP, or [r]andom or [i]nterface IP (default): Nhập Enter > Enter number of data bytes to send (default 3000): 4000 > tấn công SYN flood sẽ bắt đầu với tốc độ gửi 4000 gói data

Vào Sophos Firewall và bật tính năng chống DoS > Intrusion prevention > DoS & spoof protection > SYN flood > Source: tick chọn apply flag > Destination: Tick chọn apply flag

Để kiểm tra tấn công DoS thì vào mục DoS attacks

Tấn công UDP

Pentmenu: 7 > Enter target: 142.250.198.46 > Enter random string (data to send): 1000 > Enter Source IP, or [r]andom or [i]nterface IP (default): Enter > Tấn công UDP Flood bắt đầu chạy.

Tiếp theo trên Sophos Firewall > Vào mục Intrusion prevention > DoS & spoof protection > UDP flood > Source: Tick chọn Apply Flag > Destination: Tick chọn Apply Flag

Sau đó vào mục DoS attacks để kiểm tra tấn công UDP flood

Ngoài ra để xem log > vào mục System services > Log settings > Tick chọn DoS attack để hiển thị log DoS tấn công 

3. Kiểm tra Log

Sau đó vào mục Log viewer > firewall sophos sẽ hiển thị tấn công DoS và denied chúng

Tấn công TCP flood
Pentmenu: 4 > Enter target: 142.250.71.17 > Enter Source IP, or [r]andom or [i]nterface IP (default): Enter > Send data with ACK packet: y > Enter number of data bytes to send (default 3000): 10000 > Tấn công TCP flood bắt đầu chạy

Trên Sophos Firewall > vào mục Intrusion prevention > DoS & spoof protection > TCP flood > Source: tick chọn Apply Flag > Destination: Tick chọn Apply Flag

Sau đó vào mục DoS attacks để xem các gói traffic của DoS 

Kiểm tra log của DoS bị denied

Ngoài ra chúng ta có thể sử dụng speedtest để kiểm tra tốc độ mạng của user chưa bị hack, các users trong lớp mạng nội bộ bị tấn công sẽ yếu đi.

Cách tận dụng tối đa các tính năng mới trong Sophos Firewall v21.

Được viết bởi Chris McCormack

Ngày 23 tháng 9 năm 2024

Sophos Firewall v21 mang đến những cải tiến mới thú vị cho chức năng VPN, xác thực và định tuyến.

Cải tiến VPN

• Tùy chọn kích hoạt và hủy kích hoạt hàng loạt hiện khả dụng cho các kết nối (xem ảnh chụp màn hình bên dưới)
• Tính năng lọc nâng cao trên trang quản lý VPN hiện hợp nhất thông tin trên nhiều trang
• Tìm kiếm dựa trên giá trị và văn bản miễn phí hiện được hỗ trợ trong cấu hình VPN cho mạng, mạng con, người dùng truy cập từ xa và VPN site-to-site
• Đã thêm chế độ xem giao diện XFRM cụ thể vào trang Giao diện để dễ dàng lọc các giao diện RBVPN

Cải tiến VPN Site to Site

• Các cổng từ xa dựa trên FQDN đã được tối ưu hóa để cải thiện khả năng mở rộng cho các triển khai phân tán
• Chuyển tiếp DHCP qua giao diện XFRM hiện được hỗ trợ cho lưu lượng đến máy chủ DHCP được triển khai phía sau tường lửa từ xa (xem hình minh họa bên dưới)
• Việc triển khai RBVPN có thể tăng thời gian hoạt động của giao diện XFRM lên tới 20 lần, giảm thiểu đáng kể sự gián đoạn trong quá trình chuyển đổi đường hầm, chuyển đổi dự phòng HA hoặc khởi động lại

Cải tiến xác thực

• Tích hợp Google Workspace thông qua máy khách LDAP và khả năng tương thích SSO của Google Chromebook với các loại máy chủ LDAP cho phép chức năng SSO cho môi trường Google LDAP dành cho Chromebook
• Hiệu suất xử lý đăng nhập hàng loạt được cải thiện tới 4 lần đối với Radius SSO, STAS và Synchronized User ID để có thể xử lý hàng nghìn yêu cầu đăng nhập đồng thời ngay cả trong nhiều môi trường SSO (kết hợp STAS, Radius SSO và Synchronized User ID)
• Ngoài ra, hỗ trợ đã được thêm vào cho trải nghiệm AD SSO minh bạch khi HSTS được thực thi, cho phép bắt tay Kerberos và NTLM qua HTTP hoặc HTTPS

Quản lý tuyến đường tĩnh và động

• Người dùng có thể sao chép các tuyến tĩnh, bật hoặc tắt chúng và thêm mô tả thông qua tùy chọn Quản lý mới cho mỗi tuyến tĩnh trong bảng (xem ảnh chụp màn hình bên dưới)
• Hiện tại có tùy chọn tuyến đường blackhole và hỗ trợ đa đường dẫn chi phí bằng nhau (ECMP) để cân bằng tải
• Định tuyến động có tùy chọn mới để phân phối lại các tuyến BGP vào OSPFv3
• Định tuyến động hiện không có tác động nào trong các tình huống chuyển đổi dự phòng HA

Hãy xem video demo ngắn này để biết cách thức hoạt động và cách thiết lập

Bắt đầu tận dụng khả năng mới tuyệt vời này trong Sophos Firewall v21 bằng cách tham gia chương trình truy cập sớm (https://events.sophos.com/events/9496899a-0e84-4fa3-9d8a-07f23841dc1c) . Chỉ cần đăng ký chương trình, nhấp vào liên kết trong email của bạn để tải xuống gói cập nhật chương trình cơ sở và cài đặt nó trên Sophos Firewall của bạn.

Với SSL VPN Remote Access, bạn có thể cung cấp quyền truy cập vào tài nguyên mạng của từng máy chủ qua internet bằng cách sử dụng các đường hầm được mã hóa point-to-point. Chính sách truy cập từ xa sử dụng OpenVPN, một giải pháp SSL VPN đầy đủ tính năng. 

Bài viết này sẽ hướng dẫn bạn cách cài đặt SSL VPN client trên Ubuntu, kết nối VPN bằng ứng dụng OpenVPN.

2. Hướng dẫn cấu hình.
   1. Cấu hình SSL VPN (Remote Access).

Bạn có thể tham khảo các bước cấu hình SSL VPN qua link sau: https://thegioifirewall.com/sophos-xg-huong-dan-cau-hinh-ssl-vpn-client-to-site

2. Tải xuống tệp cấu hình SSL VPN.

Trên Ubuntu Desktop, đăng nhập vào VPN portal bằng username đã tạo ở bước 1. Sử dụng IP WAN Sophos : Port 443 (443 là port mặc định của Sophos Firewall, người quản trị có thể đổi).

Chọn Download for Windows, MacOS, Linux.

Sau khi tải xuống bạn sẽ có file _ssl_vpn_config.ovpn

3. Cài đặt OPENVPN

Trước khi đi vào cài đặt chúng ta sẽ cập nhật các gói hệ thống lên bản mới bằng lệnh:

sudo apt update

sudo apt upgrade

Thực hiện cài đặt OpenVPN bằng 2 lệnh sau:

sudo apt install tzdata

sudo dpkg-reconfigure tzdata

Tại mục Geographic area: Chọn Asia

Sau đó chọn OK.

Tại mục Time zone: Chọn Ho Chi Minh City.

Sau đó chọn OK.

4. 4. Cài đặt, kết nối SSL VPN Client.

Lưu ý: Nếu bạn là người dùng bình thường thì cần chuyển sang user root để có toàn quyền cài đặt bằng lệnh “sudo su” và nhập mật khẩu cho user bình thường.

Di chuyển đến đến thư mục Downloads hoặc thư mục lưu tệp cấu hình ssl_vpn mà bạn vừa tải xuống.

Example: cd /home/phongntt/Downloads/ls

Bạn sẽ thấy tệp sslvpn-phong2-client-config.ovpn

Thực hiện kết nối SSL VPN bằng dòng lệnh sau:

openvpn –config sslvpn-phong2-client-config.ovpn

Nhập Username và Passwword đã tạo ở bước 1 (cấu hình SSL VPN)

Khi nhật ký hiển thị thông báo Initialization Sequence Completed, kết nối SSL VPN thành công.

Khi kết nối bạn nên để màn hình Terminal này hoạt động và mở tab Terminal khác để sử dụng.

Kiểm tra trên Ubuntu có thêm 1 ip Tun0 được gán trong dãy IP SSL đã cấu hình ở bước 1.

Kiểm tra tường lửa Sophos. Điều hướng tới Current Activities > Live User. 

Người dùng hiện đang kết nối là Phong2.

Để thoát kết nối SSL VPN. Trên tab Terminal đang kết nối kernel Ctrl + C. 

Quá trình thoát log cho thấy kết nối đã được ngắt kết nối thành công. 

Nếu bạn muốn kết nối lại, hãy sử dụng lệnh openvpn –config sslvpn-phong2-client-config.ovpn

WAF (Web Application Firewall) của Sophos là một giải pháp bảo mật được thiết kế để bảo vệ các ứng dụng web khỏi các cuộc tấn công và lỗ hổng bảo mật. Nó cung cấp một lớp bảo vệ bổ sung bằng cách giám sát, lọc và chặn các yêu cầu đến các ứng dụng web nhằm ngăn chặn các hoạt động độc hại.

Tính năng của WAF Sophos:

• Bảo vệ chống lại các lỗ hổng web phổ biến: Chống lại các cuộc tấn công SQL Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), và nhiều lỗ hổng khác.
• Kiểm tra và lọc lưu lượng: Phân tích các yêu cầu HTTP/HTTPS để phát hiện và ngăn chặn các yêu cầu độc hại trước khi chúng có thể tiếp cận ứng dụng web.
• Chế độ bảo vệ đa lớp: Kết hợp nhiều lớp bảo vệ để tăng cường khả năng bảo mật, bao gồm kiểm tra chữ ký, phát hiện hành vi bất thường, và quy tắc tùy chỉnh.
• Tích hợp SSL/TLS: Hỗ trợ mã hóa SSL/TLS để bảo vệ dữ liệu truyền tải giữa người dùng và máy chủ ứng dụng web.
• Kiểm soát truy cập và xác thực: Hỗ trợ xác thực người dùng và kiểm soát truy cập để đảm bảo chỉ những người dùng được ủy quyền mới có thể truy cập các tài nguyên nhạy cảm.
• Báo cáo và giám sát: Cung cấp các báo cáo chi tiết và công cụ giám sát để theo dõi và phân tích các sự kiện bảo mật.
• Tích hợp dễ dàng: Dễ dàng tích hợp với các hệ thống và ứng dụng hiện có, cung cấp khả năng quản lý và triển khai linh hoạt.

Sơ đầu cấu hình

Các bước cấu hình Tường lửa ứng dụng web Sophos XG

1. Cấu hình cài đặt Web Server DVWA.

DVWA bao gồm nhiều loại lỗ hổng, làm cho nó trở thành một công cụ học tập toàn diện. Một số lỗ hổng có thể tìm thấy trong DVWA bao gồm SQL injection, cross-site scripting (XSS), chèn lệnh, bao gồm tệp từ xa, v.v. Mỗi lỗ hổng được tạo cẩn thận để mô phỏng các tình huống trong thế giới thực, đảm bảo rằng người dùng gặp phải một loạt các vấn đề bảo mật thường gặp trong các ứng dụng web.

Để cài đặt DVWA trên Ubunu: https://thegioifirewall.com/dvwa-huong-dan-cai-dat-may-chu-dvwa-tren-ubuntu/

2. Tình huống cấu hình.

LƯU Ý: Trước khi tấn công hãy di chuyển đến mục DVWA Security -> Chọn Security Level: LOW -> Sau đó ấn Submit.

1. Tấn công XSS (DOM) khi web chưa cấu hình tính năng bảo vệ WAF.

Truy cập giao diện DVWA > XSS (DOM) > Select.

Sau khi nhấn Select ta được đường link: http://115.78.230.23/dvwa/vulnerabilities/xss_d/?default=English

Thêm một đoạn script tấn công XSS vào phía sau đường link: http://115.78.230.23/dvwa/vulnerabilities/xss_d/?default=English<script>alert(document.cookie)</script>

Kết quả trả về sau khi chạy script là sẽ là session ID, cookie của người dùng.

2. Tấn công SQL Injection khi web chưa cấu hình tính năng bảo về WAF. 

Truy cập giao diện DVWA >  SQL Injection 

Nhập đoạn script sau: %’ and 1=0 union select null, concat(first_name,0x0a,last_name,0x0a,user,0x0a,password) from users # và ấn Submit

Kết quả trả về sẽ bao gồm thông tin nhạy cảm từ bảng users, bao gồm tên, họ, tên người dùng và mật khẩu của người dùng.

3. Hướng dẫn cấu hình WAF trên Firewall Sophos.

Bước 1: Truy cập vào GUI của Sophos Firewall,vào phần SYSTEM > Hosts and services > IP host > Add > Save. (Tạo IP host cho Web Server DVWA)

Bước 2: Vào phần PROTECT > Web Server > Web Server > Add.

Name: Đặt tên cho Web server 

Host: Chọn host Web server DVWA đã tạo trước đó 

Type: Chọn Plaintext (HTTP) 

Port: Chọn port 80 

Nhấn Save

Bước 3: Vào phần PROTECT > Web server > Protection policies > Add.

Bước 4: Vào phần PROTECT > Rules and Policies > Firewall Rule > Add firewall rule > New firewall Rule.

Rule name: Đặt tên cho rule 

Rule position: Chọn Top 

Rule group: Chọn None 

Action: Chọn Protection with web server protection 

Hosted address: Chọn port WAN mà bạn muốn cho bên ngoài truy cập. 

Listening port: Chọn 80 

Domains: Nhập domain của website của bạn (IP WAN)

Protection servers: Chọn host server đã tạo trước đó 

Protected servers: Chọn policy đã tạo trước đó 

Enable mục Pass host header 

Nhấn Save

Bước 5: Thực hiện tấn công XSS (DOM) DVWA khi đã cấu hình chính sách WAF.

Thực hiện tương tự tình huống cấu hình 2.1

Sau khi thực hiện tấn công XSS, việc thực thi bị chặn ngay lập tức.

Mở log xem kết quả.

Bước 6: Thực hiện tấn công SQL Injection DVWA khi đã cấu hình chính sách WAF

Thực hiện tương tự tình huống cấu hình 2.2

Sau khi thực hiện tấn công SQL Injection, việc thực thi đã bị chặn ngay lập tức

Mở log xem kết quả.

Tổng quan:

• Bài viết này chia làm 2 phần: Hướng dẫn xem Dashboard có bản đồ và Hướng dẫn xóa bản đồ.

1. Hướng dẫn xem Dashboard có bản đồ:

1. Đăng nhập vào tài khoản Sophos Central.

2. Nhấn vào menu Dashboards > Nhấn vào Manage Dashboard.

3. Nhấn vào Find dashboards để hiện thị các Dashboard được tạo sẵn bởi Sophos.

4. Nhấn vào biểu tượng để thêm Dashboard mong muốn vào danh sách hiện có.

5. Nhấn vào tên của Dashboard có bản đồ, trong trường hợp này là Threat Analysis Center Dashboard.

2. Hướng dẫn xóa bản đồ:

• Chúng ta chỉ có thể chỉnh sửa các Dashboard do bản thân tạo ra, không thể điều chỉnh các Dashboard do Sophos tạo ra.

1. Thế nên cần phải tạo bản sao của Dashboard đó, nhấn vào biểu tượng để tạo bản sao.

2. Nhấn vào Clone.

3. Nhấn vào biểu tượng   > Nhấn vào

4. Nhấn chọn Dashboard đã xóa bản đồ để sử dụng. Lưu ý, Dashboard có Creator là tên của Super Admin.

5. Khi sử dụng Dashboard đã chỉnh sửa, ta sẽ không còn thấy bản đồ nữa.

Viết bởi Puja Mahendru] x

MAY 28, 2024

Nghiên cứu thường niên mới nhất của Sophos về trải nghiệm ransomware trong thế giới thực của các tổ chức sản xuất khám phá toàn bộ hành trình của nạn nhân, từ tỷ lệ tấn công và nguyên nhân cốt lõi đến tác động hoạt động và kết quả kinh doanh.

Báo cáo năm nay kết hợp các lĩnh vực nghiên cứu mới cho lĩnh vực này, bao gồm cả việc tìm hiểu nhu cầu tiền chuộc và các khoản thanh toán tiền chuộc. Ngoài ra, lần đầu tiên, nó làm sáng tỏ vai trò của cơ quan thực thi pháp luật trong việc khắc phục ransomware.

Tải xuống báo cáo để có được những phát hiện đầy đủ.

1. Tỷ lệ tấn công và chi phí phục hồi đều tăng lên

65% các tổ chức sản xuất cho biết họ đã bị tấn công bởi ransomware vào năm ngoái. Đây là mức tăng đáng chú ý so với hai năm trước (56% vào năm 2023 và 55% vào năm 2022) và thể hiện mức tăng 41% kể từ năm 2020.

93% các tổ chức sản xuất bị ransomware tấn công trong năm qua cho biết tội phạm mạng đã cố gắng xâm phạm các bản sao lưu của họ trong cuộc tấn công. Trong số đó, 53% nỗ lực thỏa hiệp sao lưu đã thành công.

Ngoài ra, ba trong số bốn cuộc tấn công bằng ransomware vào các tổ chức sản xuất (74%) dẫn đến mã hóa dữ liệu, tỷ lệ mã hóa cao nhất trong lĩnh vực này trong 5 năm qua. Tỷ lệ này cũng cao hơn mức bình quân liên ngành năm 2024 là 70%.

Vào năm 2024, các tổ chức sản xuất đã báo cáo chi phí trung bình là 1,67 triệu USD để phục hồi sau một cuộc tấn công bằng ransomware, tăng so với mức 1,08 triệu USD được báo cáo vào năm 2023.

2. Các thiết bị bị ảnh hưởng trong cuộc tấn công ransomware.

Trung bình, 44% máy tính trong sản xuất và sản xuất bị ảnh hưởng bởi cuộc tấn công bằng ransomware. Việc mã hóa toàn bộ môi trường của bạn là cực kỳ hiếm, chỉ có 4% tổ chức báo cáo rằng 91% thiết bị trở lên của họ bị ảnh hưởng.

3. Sáu trong mười nạn nhân hiện đang trả tiền chuộc

Trong khi 58% sản xuất đã khôi phục dữ liệu được mã hóa bằng cách sử dụng bản sao lưu, thì 62% trả tiền chuộc để lấy lại dữ liệu. Tỷ lệ các tổ chức sản xuất trả tiền chuộc đã tăng gần gấp đôi so với nghiên cứu năm 2023 của chúng tôi khi lĩnh vực này báo cáo một trong những tỷ lệ trả tiền chuộc thấp nhất (34%) trong tất cả các lĩnh vực.

Một thay đổi đáng chú ý trong năm qua là xu hướng nạn nhân sử dụng nhiều phương pháp khác nhau để khôi phục dữ liệu được mã hóa (ví dụ: trả tiền chuộc và sử dụng bản sao lưu) ngày càng tăng. Lần này, gần một nửa số tổ chức sản xuất (45%) đã mã hóa dữ liệu cho biết họ sử dụng nhiều phương pháp, cao hơn gấp đôi tỷ lệ được báo cáo vào năm 2023 (19%).

4. Các khoản thanh toán tiền chuộc đã tăng vọt – nhưng nạn nhân hiếm khi trả số tiền được yêu cầu

157 người trả lời ngành sản xuất có tổ chức trả tiền chuộc đã chia sẻ số tiền thực tế được trả, tiết lộ rằng khoản thanh toán trung bình (trung bình) đã tăng 167% so với năm ngoái, từ 450.000 USD lên 1,2 triệu USD.

Trong khi khoản thanh toán tiền chuộc đã tăng lên, chỉ có 27% nạn nhân trong ngành sản xuất cho biết khoản thanh toán của họ phù hợp với yêu cầu ban đầu. 65% trả ít hơn nhu cầu ban đầu, trong khi chỉ có 8% trả nhiều hơn.

Tải xuống báo cáo đầy đủ để biết thêm thông tin chi tiết về thanh toán tiền chuộc và nhiều lĩnh vực khác.

5. Về cuộc khảo sát.

Báo cáo này dựa trên kết quả của một cuộc khảo sát độc lập, không phân biệt nhà cung cấp do Sophos ủy quyền với 5.000 nhà lãnh đạo CNTT/an ninh mạng trên 14 quốc gia ở Châu Mỹ, EMEA và Châu Á Thái Bình Dương, bao gồm 585 người từ lĩnh vực sản xuất và chế tạo. Tất cả những người trả lời đều đại diện cho các tổ chức có từ 100 đến 5.000 nhân viên. Cuộc khảo sát được chuyên gia nghiên cứu Vanson Bourne thực hiện trong khoảng thời gian từ tháng 1 đến tháng 2 năm 2024 và những người tham gia được yêu cầu trả lời dựa trên kinh nghiệm của họ trong năm trước.